搜索

[13850] 2019-03-10_Linux内核本地提权漏洞预警分析（CVE-2019-8912）

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2019-03-10_Linux内核本地提权漏洞预警分析（CVE-2019-8912） L i n u x 内 核 本 地 提 权 漏 洞 预 警 分 析 （ C V E - 2 0 1 9 - 8 9 1 2 ） A D L a b   F r e e B u f   2 0 1 9 - 0 3 - 1 0 一 、 漏 洞 背 景 一 、 漏 洞 背 景 近 日 ， 近 日 ， L i n u x   g i t 中 发 布 一 个 中 发 布 一 个 c o m m i t 补 丁 ， 该 补 丁 对 应 的 漏 洞 是 一 个 本 地 提 权 漏 洞 补 丁 ， 该 补 丁 对 应 的 漏 洞 是 一 个 本 地 提 权 漏 洞 C V E - 2 0 1 9 - 8 9 1 2 ， 漏 洞 影 响 范 ， 漏 洞 影 响 范 围 较 广 。 根 据 围 较 广 。 根 据 g i t 中 的 中 的 c o m m i t 信 息 可 知 ， 该 漏 洞 出 现 在 内 核 信 息 可 知 ， 该 漏 洞 出 现 在 内 核 ’ c r y p t o / a f _ a l g . c ’ 中 的 中 的 a f _ a l g _ r e l e a s e 函 数 中 ， 可 以 通 函 数 中 ， 可 以 通 过 过 s o c k f s _ s e t a t t r 函 数 触 发 ， 漏 洞 类 型 是 函 数 触 发 ， 漏 洞 类 型 是 u s e   a f t e r   f r e e ， 可 以 导 致 本 地 代 码 执 行 进 行 权 限 提 升 。 ， 可 以 导 致 本 地 代 码 执 行 进 行 权 限 提 升 。 二 、 漏 洞 影 响 版 本 二 、 漏 洞 影 响 版 本 三 、 三 、 L i n u x   C r y p t o 模 块 简 介 模 块 简 介 L i n u x 内 核 从 版 本 2 . 5 开 始 引 入 了 加 密 机 制 ， 为 内 核 提 供 加 密 功 能 ， 应 用 包 括 ： 硬 件 加 密 设 备 驱 动 、 内 核 代 码 签 名 、 硬 件 随 机 数 生 成 器 、 文 件 系 统 加 密 等 。 从 版 本 2 . 6 . 6 之 后 ， 内 核 源 码 提 供 了 丰 富 的 密 码 学 算 法 支 持 ， 并 可 以 通 过 配 置 编 译 选 项 将 加 密 算 法 作 为 模 块 编 入 内 核 。 内 核 编 译 配 置 如 下 图 所 示 ： 但 是 该 加 密 功 能 提 供 的 A P I 接 口 只 能 在 内 核 层 进 行 使 用 ， 用 户 层 无 法 调 用 。 2 0 1 0 年 ， 有 位 维 护 者 向 L i n u x   C r y p t o 维 护 组 提 交 了 一 份 C r y p a t o A P I   用 户 接 口 ， 类 似 于 n e t l i n k ， 基 于 s o c k e t 进 行 通 信 ， 便 于 用 户 层 访 问 内 核 加 密 子 系 统 。 功 能 实 现 代 码 在 文 件 c r y p t o / a f _ a l g . c 中 。 四 、 漏 洞 原 理 及 溯 源 四 、 漏 洞 原 理 及 溯 源 漏 洞 存 在 于 c r y p t o   模 块 中 的 a f _ a l g _ r e l e a s e ( ) 函 数 中 。 a f _ a l g _ r e l e a s e ( ) 函 数 在 进 行 对 象 释 放 时 ， 未 将 对 象 置 空 。 对 应 c o m m i t ： 9 0 6 0 c b 7 1 9 e 6 1 b 6 8 5 e c 0 1 0 2 5 7 4 e 1 0 3 3 7 f a 5 f 4 4 5 e a 补 丁 代 码 如 下 ， 补 丁 添 加 了 一 行 代 码 ： s o c k - > s k   =   N U L L ;   。 L i n u x   2   . 6   ~   l i n u x   4 . 2 0 . 1 1 R e d   H a t   E n t e r p r i s e   L i n u x   7 ， P a c k a g e ：   k e r n e l - a l t D e b i a n ， R e l e a s e ： J e s s i e ， V e r s i o n ： 3 . 1 6 . 5 6 - 1 + d e b 8 u 1 D e b i a n ， R e l e a s e ： J e s s i e   ( s e c u r i t y ) ， V e r s i o n ： 3 . 1 6 . 5 6 - 1 D e b i a n ， R e l e a s e ： s t r e t c h ， V e r s i o n ： 4 . 9 . 1 4 4 - 3 D e b i a n ， R e l e a s e ： s t r e t c h   ( s e c u r i t y ) ， V e r s i o n ： 4 . 9 . 1 1 0 - 3 + d e b 9 u 6 D e b i a n ， R e l e a s e ： b u s t e r ， V e r s i o n ： 4 . 1 9 . 1 6 - 1 D e b i a n ， R e l e a s e ： s i d ， V e r s i o n ： 4 . 1 9 . 2 0 - 1
在 未 添 加 补 丁 之 前 ， 如 果 该 s o c k - > s k 引 用 计 数 是 1 ， 当 调 用 s o c k _ p u t ( ) 进 行 释 放 后 没 有 置 空 ， 就 直 接 返 回 ， 会 产 生 一 个 s o c k - > s k 悬 挂 指 针 。 为 了 分 析 这 个 漏 洞 的 前 因 后 果 ， 先 分 析 下 相 关 的 s o c k e t 代 码 。 对 每 个 新 创 建 的 s o c k e t ， L i n u x 内 核 都 将 在 s o c k f s 中 创 建 一 个 新 的 i n o d e 。 S o c k f s _ * 系 列 函 数 就 是 用 来 操 作 s o c k f s 文 件 系 统 的 。 S o c k f s _ s e t a t t r ( ) 函 数 就 是 设 置 s o c k e t 文 件 属 性 的 。 在 n e t / s o c k e t . c 文 件 中 s o c k f s _ s e t a t t r ( ) 函 数 将 会 使 用 s o c k - > s k 对 象 。 根 据 提 交 的 c o m m i t ： 9 0 6 0 c b 7 1 9 e 6 1 b 6 8 5 e c 0 1 0 2 5 7 4 e 1 0 3 3 7 f a 5 f 4 4 5 e a 细 节 可 知 ， 在 该 漏 洞 披 露 之 前 ， L i n u x 已 经 修 复 了 s o c k _ c l o s e ( ) 和 s o c k f s _ s e t a t t r ( ) 之 间 的 条 件 竞 争 漏 洞 ， 对 应 c o m m i t 为 6 d 8 c 5 0 d c b 0 2 9 8 7 2 b 2 9 8 e e a 6 8 c c 6 2 0 9 c 8 6 6 f d 3 e 1 4 ， 具 体 先 看 下 s o c k f s _ s e t a t t r ( ) 函 数 中 的 补 丁 。 补 丁 代 码 如 下 ： 行 5 4 4 ， 首 先 判 断 s o c k - > s k 是 否 为 空 ， 如 果 不 为 空 ， 行 5 4 5 再 将 用 户 层 传 进 来 的 i a t t r - > i a _ u i d 赋 值 为 s o c k - > s k - > s k _ u i d 。 然 后 看 s o c k _ c l o s e   ( ) 函 数 中 的 补 丁 。 补 丁 代 码 如 下 ： 行 1 1 8 6 ， 替 换 成 了 新 函 数 s o c k _ r e l e a s e ( ) ， 该 函 数 多 了 一 个 参 数 ， 该 函 数 多 了 一 个 参 数 i n o d e 。 。 s o c k _ r e l e a s e ( ) 函 数 实 现 如 下 ：
行 6 0 1 ， 对 i n o d e 进 行 判 断 ， 如 果 不 为 空 ， 然 后 调 用 i n o d e _ l o c k ( ) 函 数 对 其 进 行 上 锁 。 其 实 该 i n o d e 本 身 和 要 进 行 释 放 的 s o c k e t 对 象 是 对 应 的 。 行 6 0 3 ， 调 用 o p s 中 r e l e a s e ( ) 函 数 进 行 释 放 操 作 。 这 个 o p s 中 r e l e a s e ( ) 函 数 只 是 一 个 函 数 指 针 ， 最 终 会 根 据 用 户 注 册 哪 种 套 接 字 类 型 决 定 。 行 6 0 4 ， 再 次 判 断 i n o d e 是 否 为 空 ， 如 果 不 为 空 ， 再 进 行 解 锁 。 通 过 对 i n o d e 加 锁 ， 防 止 在 对 s o c k e t 对 象 释 放 时 进 行 其 他 操 作 。 从 c o m m i t ： 6 d 8 c 5 0 d c b 0 2 9 8 7 2 b 2 9 8 e e a 6 8 c c 6 2 0 9 c 8 6 6 f d 3 e 1 4 提 供 的 细 节 可 知 ， s o c k _ c l o s e ( ) 函 数 和 s o c k f s _ s e t a t t r ( ) 函 数 之 间 的 条 件 竞 争 可 以 通 过 用 户 层 f c h o w n a t ( ) 函 数 引 发 。 根 据 m a n 手 册 可 知 ， 该 函 数 是 用 于 设 置 文 件 属 性 的 ， 例 如 u i d 和 g i d ， 在 内 核 中 对 应 的 s o c k f s _ s e t a t t r ( ) 函 数 ， 如 下 图 所 示 ： 细 节 中 描 述 ， 该 函 数 不 会 保 持 文 件 f d 的 引 用 计 数 ， 这 也 是 导 致 存 在 条 件 竞 争 的 原 因 。 根 据 前 文 可 知 ， s o c k f s _ s e t a t t r ( ) 函 数 其 实 就 是 设 置 U I D 才 操 作 s o c k - > s k 对 象 的 。 如 果 再 继 续 向 前 追 溯 的 话 ， 从 c o m m i t ： 8 6 7 4 1 e c 2 5 4 6 2 e 4 c 8 c d c e 6 d f 2 f 4 1 e a d 0 5 5 6 8 c 7 d 5 e 提 供 的 细 节 可 知 U I D 的 来 龙 去 脉 。 该 补 丁 提 交 于 2 0 1 6 年 。 由 于 s o c k e t   协 议 中 的 结 构 体 s t r u c t s o c k 在 大 多 时 候 都 是 和 用 户 层 的 s o c k e t s 一 一 映 射 的 ， s o c k e t s 对 应 的 内 核 结 构 体 为 s t r u c t s o c k e t 。 考 虑 到 方 便 操 作 ， 便 通 过 向 s t r u c t   s o c k 添 加 一 个 s k _ u i d 字 段 来 简 化 对 s t r u c t   s o c k e t 中 的 U I D 的 匹 配 ， 也 因 此 添 加 了 一 个 关 键 函 数 。 如 下 图 所 示 ： 由 此 可 知 ， 本 来 存 在 于 s o c k _ c l o s e ( ) 和 s o c k f s _ s e t a t t r 之 间 的 条 件 竞 争 已 经 被 修 复 ， 由 于 c r y p t o / a f _ a l g . c 中 a f _ a l g _ r e l e a s e ( ) 函 数 没 有 将 释 放 后 的 s o c k - > s k 及 时 置 空 ， 导 致 前 面 所 做 的 安 全 补 丁 全 部 失 效 。
五 、 安 全 建 议 五 、 安 全 建 议 目 前 该 漏 洞 补 丁 已 经 给 出 ， 请 及 时 升 级 到 最 新 版 本 。 h t t p s : / / g i t h u b . c o m / t o r v a l d s / l i n u x / c o m m i t / 9 0 6 0 c b 7 1 9 e 6 1 b 6 8 5 e c 0 1 0 2 5 7 4 e 1 0 3 3 7 f a 5 f 4 4 5 e a * 本 文 作 者 ： 启 明 星 辰 积 极 防 御 实 验 室 （ 本 文 作 者 ： 启 明 星 辰 积 极 防 御 实 验 室 （ A D L a b ） ， 转 载 请 注 明 来 自 ） ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理